phpmyadmin fail2ban登录失败日志

Question 1

编辑/etc/phpmyadmin/config.user.inc.php文件并添加类似以下内容：

<?php

$cfg['AuthLog'] = '/tmp/phpmyadmin.log';

一探究竟：

tail -F /tmp/phpmyadmin.log

在 phpmyadmin 中执行错误登录。预期输出类似于以下内容：

Jan 19 09:20:00 phpmyadmin: user denied: sfsd (mysql-denied) from 10.163.1.128

如果您的 phpmyadmin 服务器位于反向代理后面，并且其私有 IP 地址是10.163.1.128您可能想要记录客户端的公共 IP 地址，因此步骤 1 应该是：

<?php

$cfg['AuthLog'] = '/tmp/phpmyadmin.log';
$cfg['TrustedProxies'] = array('10.163.1.128' => 'HTTP_X_FORWARDED_FOR');

请记住，运行 phpmyadmin 的用户（通常）应该对变量名www-data中定义的文件和父目录具有写访问权限$cfg['AuthLog']

Answer

编辑/etc/phpmyadmin/config.user.inc.php文件并添加类似以下内容：

<?php

$cfg['AuthLog'] = '/tmp/phpmyadmin.log';

一探究竟：

tail -F /tmp/phpmyadmin.log

在 phpmyadmin 中执行错误登录。预期输出类似于以下内容：

Jan 19 09:20:00 phpmyadmin: user denied: sfsd (mysql-denied) from 10.163.1.128

如果您的 phpmyadmin 服务器位于反向代理后面，并且其私有 IP 地址是10.163.1.128您可能想要记录客户端的公共 IP 地址，因此步骤 1 应该是：

<?php

$cfg['AuthLog'] = '/tmp/phpmyadmin.log';
$cfg['TrustedProxies'] = array('10.163.1.128' => 'HTTP_X_FORWARDED_FOR');

请记住，运行 phpmyadmin 的用户（通常）应该对变量名www-data中定义的文件和父目录具有写访问权限$cfg['AuthLog']

Question 2

从文档对于版本 4.7.0，该版本仍在开发中并且不能直接使用：

替代方法可能是使用 fail2ban，因为 phpMyAdmin 会将失败的身份验证尝试记录到系统日志（如果可用）

不幸的是，此日志记录仅在当前主分支中引入，正如我所提到的，它将在未来的某个时间点成为 4.7.0。您可以安全地使用主分支，因为开发人员试图在开发过程中不破坏那里的任何东西。除此之外，您必须通过查看 Apache 访问日志而不是直接从 phpMyAdmin 中实现某些功能。

对于 Ubuntu，打包的 fail2ban 开箱即用，我认为 Debian 也类似。编辑/etc/fail2ban/jail.local并启用 Apache 部分，其中包括[apache]和许多类似部分（例如[apache-overflows]和[apache-badbots]）。您可能还希望在此处启用 PHP 过滤。

在这种情况下，我不希望在 Apache 错误日志中看到任何内容，因此从这一点来看，您没问题。

关于实际上调优fail2ban，我不是专家，但这至少可以帮助你入门。

补充阅读：https://www.digitalocean.com/community/tutorials/how-to-protect-an-apache-server-with-fail2ban-on-ubuntu-14-04或您可以在 Google 上找到的任何其他教程。

Answer